- WAF绕过
定义:
Web应用防护系统(Web Application Firewall, 简称:WAF)
代表了一类新兴的信息安全技术,
用以解决诸如防火墙一类传统设备束手无策的Web应用安全问题。
【*】熟练掌握mysql函数和语法使用方法
输入了解中间件运行处理机制
了解WAF防护原理和方法
【白盒绕过】
sqli-25关
使用了blacklist函数过滤了’or’和’AND’
绕过过滤
(1)大小写变形:oR,OR,
(2)等价替换: and->&& or->||
(3)多写绕过: or->oorr
(4).....etc
【黑盒绕过】
http://www.mottoin.com/86886.html
一.架构层绕过WAF
1.寻找目标源站->针对云WAF
2.利用同网段->绕过WAF防护区域
3.利用边界漏洞->绕过WAF防护区域
二.资源限制角度绕过WAF
POST大BODY(数据包)
三.协议层面绕过WAF的检测
1.协议未覆盖绕过WAF
*请求方式变换 get->post
*Content-Type变换
Application/x-www-form-urlencode
->
multipart/form-data
2.参数污染
四.规则层面的绕过
(主要绕过方式)